Notice
Recent Posts
Recent Comments
Link
일 | 월 | 화 | 수 | 목 | 금 | 토 |
---|---|---|---|---|---|---|
1 | 2 | 3 | 4 | 5 | 6 | |
7 | 8 | 9 | 10 | 11 | 12 | 13 |
14 | 15 | 16 | 17 | 18 | 19 | 20 |
21 | 22 | 23 | 24 | 25 | 26 | 27 |
28 | 29 | 30 |
Tags
- 운영체제 작동방식
- spring paging sort sql injection
- aws ec2 scp 파일 전송
- 백엔드 포지션 변경
- IT 포지션 변경
- spring exception stackTrace remove
- spring exceptionHandler response cause
- 운영체제 자원관리
- spring exceptionHandler reposnse stackTrace
- 운영체제 개념
- IT 직무 변경
- spring responseEntity response stackTrace
- 개발 직무 변경
- 운영체제 다중모드
- spring sql injection 방지
- spring responseEntity response cause
- spring 동적 쿼리 주의사항
- 운영체제 커널모드
- 운영체제 멀티 프로그래밍
- spring dynamic query sql injection
- Android Timer
- spring sql injection
- spring exception cause remove
- android 타이머
- 운영체제 멀티 태스킹
- OS 자원관리
- 운영체제 공룡책
- 개발 포지션 변경
- ec2 scp 파일 전송
- 백엔드 직무 변경
Archives
- Today
- Total
목록spring 동적 쿼리 주의사항 (1)
오늘도 삽질중
spring SQL injection 방지 (with. paging sort dynamic query)
프로젝트에서 동적으로 쿼리를 처리하는 API 에서 SQL Injection이 발생하는 취약점이 확인됬다. 발생 위치는 페이징 처리 API 에서 파라미터로 sort 를 넘겨주는 부분에 임의의 쿼리를 삽입 할 경우 그대로 실행되었다. 직접 테스트해보니 DB 자체에 sleep 을 걸수도 있고, 잘하면 삭제 및 데이터 추가도 가능하다고 판단되었다. 우선 해당 프로젝트는 아래처럼 구조가 되어있다. getOrderByProperty 는 아래처럼 구성되어 있다. protected OrderSpecifier[] getOrderByProperty(Sort sort, Class clazz){ return sort.stream().map(x -> { //문제가 되는 부분 String property = x.getProper..
스프링
2023. 9. 10. 17:46